NAT traversal（NAT穿透）指的是当一个或两个端点位于网络地址转换器（NAT）后方时，用于建立或维持通信的方法。简单来说，它是一套实用的工具包，在私有地址、端口重写以及类似防火墙的行为使得直接端到端连接变得困难时，帮助应用程序保持正常工作。
这一点很重要，因为现代通信很少发生在平坦的、可公开访问的网络中。IP电话、软电话、WebRTC浏览器、会议客户端、游戏系统、物联网设备以及远程协作工具，通常部署在家用路由器、企业防火墙、运营商级NAT或云边缘安全控制之后。如果没有NAT穿透，这些端点中的许多虽然可以向外发送流量，但很难以一种可预测的方式接收直接的媒体或点对点流量返回。
在实际中，NAT穿透意味着什么
它不是一个单一的协议
NAT穿透最好被理解为一个技术方法，而非一个固定的标准。一些应用程序依赖简单的方法，如静态端口转发或应用感知网关。另一些则使用基于STUN、TURN和ICE的更高级框架，以便测试多条路径并自动选择最佳路径。
这种区别很重要。当工程师说一个应用程序“支持NAT穿透”时，通常意味着该应用程序能够发现可达地址、保持NAT绑定存活、测试连通性，并在直接通信失败时回退到中继路径。具体的组合取决于协议栈、网络策略以及NAT或防火墙环境的限制程度。
为什么NAT会造成连接问题
传统的NAT设备将内部私有IP地址重写为面向公众的地址，并通常同时转换端口号。这有助于节约公共IPv4地址和隐藏私有网络，但它也打破了“一个端点总是可以通过应用程序本地看到的地址直接到达另一个端点”的假设。
对于客户端-服务器流量，这种限制通常是可以管理的，因为客户端向公共服务器发起连接。但对于点对点、实时媒体或双向语音和视频会话，问题就更难了。本地端点可见的地址和端口不一定是NAT公共侧看到的那一对，并且除非已经存在兼容的映射，否则入站数据包可能会被丢弃。
NAT穿透从一个简单的挑战开始：两个端点可能都在线，但都没有按照应用程序期望的方式被直接访问。
NAT穿透如何工作
第1步：发现面向公众的地址
第一个任务通常是地址发现。位于NAT后面的端点可能知道其内部地址，如192.168.x.x或10.x.x.x，但这个地址对公共互联网上的对端来说毫无用处。发现服务可以帮助端点了解NAT为其出站流量分配了哪个公共IP地址和端口映射。
这就是STUN被如此广泛使用的原因之一。STUN服务器会反射回观察到的源地址和端口，让客户端了解当前存在的公共映射。然后该映射可以作为候选路径共享给远端。
第2步：测试是否可能直接通信
了解公共映射并不能自动保证成功。一些NAT设备只在某些时间或目的地条件下允许返回流量。另一些则会主动更改端口映射或完全阻止未经请求的入站数据包。因此，现代NAT穿透不会止步于地址发现。
相反，端点交换候选地址并运行连通性检查。ICE是这种行为最著名的框架。它收集本地、服务器端反射和中继候选，按优先级顺序测试它们，并选择一个可用的路径。当环境允许时，结果是直接的对等路径。当不允许时，应用程序仍然可以通过选择中继路径来工作。
第3步：必要时中继流量
有些网络环境对直接的点对点媒体来说限制太多，即使STUN可用。企业防火墙、对称NAT行为或严格控制的外发策略都可能阻止直接连接的稳定。在这些情况下，中继就成为可靠的备用方案。
TURN提供了这种中继模型。不是强行让两个对端直接相互访问，而是每个端点将流量发送到一个公共中继服务器，然后服务器转发数据包。这会增加成本、带宽消耗和一点额外的延迟，但它大大提高了应用程序在困难网络条件下仍然可用的机会。
好的NAT穿透设计不是为了不惜一切代价强行点对点。而是找到最佳可用路径，平衡连通性、媒体质量、安全性和运营可靠性。
NAT穿透背后的核心技术
用于发现和保活的STUN
STUN（NAT会话穿透实用程序）通常用于发现外部世界看到的公共IP地址和端口。它也可以帮助检查连通性并保持NAT绑定存活。这使得它成为一个有用的构建块，特别是对于基于UDP的实时通信。
同时，不应将STUN本身视为完整的解决方案。在实际部署中，它作为更广泛的NAT穿透设计的一部分时效果最好。如果NAT行为过于严格，单独的STUN可能揭示了映射，但仍然无法提供稳定的媒体路径。
用于基于中继的连接的TURN
TURN（使用中继绕过NAT的穿透）在无法建立直接连接或直接连接不够可靠时使用。端点在TURN服务器上分配一个中继地址，对等端通过该中继交换数据包，而不是依赖直接路径建立。
从运营角度来看，TURN通常是保持实时应用程序在不可预测网络上可用的安全网。它对于基于浏览器的WebRTC会话、远程视频协作、跨不同网络漫游的移动用户以及防火墙策略比消费宽带NAT行为更严格的环节尤其重要。
作为决策框架的ICE
ICE（交互式连接建立）将整个过程联系在一起。它收集候选路径，对它们进行优先级排序，运行检查，并指定实际应承载媒体的路径。该路径可能是同一网络上的主机到主机、通过NAT的服务器反射、或通过TURN的中继。
这就是为什么在现代语音和视频系统中，ICE通常是思考NAT穿透最实用的方式。不是假设一条路径在任何地方都能工作，而是将连接视为一个协商问题并动态解决它。
NAT穿透的主要特点
提高端点可达性
NAT穿透最明显的优点是它使端点足够可达以实现真正的通信。私有网络背后的设备可以参与会话，而不需要每个站点拥有公共地址或维护复杂的手动防火墙规则。
这在分布式组织中尤其有价值，用户从办公室、家里、酒店、移动网络和临时站点加入。NAT穿透减少了仅仅因为设备位于错误类型的路由器或安全设备后面而导致的通信失败案例。
自适应路径选择
一个强大的NAT穿透设计不依赖单一的传输路径。它可以先尝试直接路径，在可用时优先选择低延迟选项，仅在必要时回退到中继。这种灵活性改善了用户体验，因为许多会话可以使用高效的直接媒体，而困难的会话仍然保持功能。
对于语音和视频，这非常重要。媒体质量取决于延迟、丢包和抖动。一个能够适应不断变化的网络条件的路径选择过程通常优于一种一刀切的设计，这种设计要么总是强制中继，要么假设直接连接会神奇地工作。
支持实时通信
NAT穿透对于承载实时媒体的应用程序尤其重要。信令流量通常可以轻松到达公共服务器，但RTP或对等媒体路径是出现故障的地方。NAT穿透帮助媒体层变得像信令层一样可靠。
这就是为什么这个术语在VoIP、SIP协作、浏览器呼叫、软电话部署、会议和边缘设备通信中如此频繁出现的原因。在这些环境中，一个建立了会话但无法传送双向媒体的系统并不是真正可用的。
NAT穿透的应用
VoIP和SIP呼叫
最常见的用例之一是SIP和RTP通信。IP电话、软电话、SIP对讲终端和远程工作者通常位于NAT之后，而PBX、SBC或协作平台位于数据中心或云环境。NAT穿透帮助信令和媒体在它们之间找到可行的路径。
在实际部署中，这可能涉及SIP感知的边缘设备、会话边界控制器、ICE支持、RTP锁定行为或中继服务。目标很简单：允许呼叫连接，传送双向音频，并防止单通或无声媒体故障。
WebRTC和基于浏览器的会议
WebRTC是现代NAT穿透在实际应用中最清晰的例子之一。浏览器通常使用ICE配合STUN和TURN，以便用户可以从家庭网络、企业网络和移动访问环境加入呼叫，而无需手动打开端口。
这对于视频会议、嵌入式网站呼叫、远程客户支持、远程医疗、云联络中心和基于浏览器的调度工具都很重要。没有NAT穿透，网络实时通信在普通用户环境中会频繁失败。
游戏和点对点应用
在线游戏和点对点数据交换平台在需要端点之间低延迟直接通信时也依赖NAT穿透。直接的对等路径可以减少中央基础设施的负载并提高响应能力，但这只有在对等端能够真正发现并验证一条路由时才有可能。
这就是为什么NAT穿透甚至在企业语音和视频之外也具有相关性的原因。任何受益于端到端流量的应用程序都可能需要某种方式来突破私有地址和边缘转换的现实。
远程设备、物联网和边缘系统
工业网关、传感器、监控设备、接入终端和智能设备通常部署在平台运营商不完全控制的路由器之后。NAT穿透可以帮助云服务保持遥测、通知、诊断和有限对等通信的可达性。
在这些情况下，设计必须更加保守。应用程序可能更倾向于向已知平台进行安全的外发注册，然后使用NAT感知技术来保持会话连续性，同时避免将设备广泛暴露于未经请求的入站互联网流量。
从IP电话和WebRTC到游戏和联网边缘设备，只要端点需要跨越私有网络进行通信，就会出现NAT穿透。
部署考虑因素
安全不能是事后想法
不要误以为NAT穿透是盲目绕过安全策略的许可证。暴露媒体中继、开放宽松的防火墙规则或部署没有访问控制的公共TURN服务可能会造成不必要的风险。安全认证、合理的中继策略、速率限制和网络分段仍然重要。
在企业和服务提供商环境中，NAT穿透通常在与清晰的边缘设计配合时效果最好。这可能包括SBC、反向代理、专用TURN基础设施、基于证书的安全性，或对信令和媒体进行基于策略的访问控制。
中继使用影响成本和性能
TURN提高了连通性，但它不是免费的。中继的媒体会消耗公共服务器带宽，增加基础设施负载，并且与直接路径相比可能会增加延迟。因此，成熟的部署通常会在稳定连接的地方最大化直接连接，并将TURN保留给真正需要它的会话。
好的容量规划在这里很重要。一个TURN容量过小的系统可能在测试中工作正常，但在繁忙时段或受限的企业网络条件下会失败，而这正是需要可靠备用方案的关键时刻。
应用程序行为仍然重要
即使强大的NAT穿透也无法解决每一个应用程序设计问题。糟糕的保活时序、薄弱的ICE处理、不正确的候选优先级、媒体超时和不一致的信令仍然可能导致故障。NAT穿透在应用程序、传输行为和边缘基础设施一起设计时效果最好。
这也是为什么故障排除通常需要检查STUN服务器是否可达之外更多的事情。工程师可能需要检查ICE候选、中继分配行为、防火墙日志、媒体端口和数据包捕获，才能真正弄清原因。
结论
NAT穿透是帮助现代应用程序在私有、转换和策略控制网络中运行的连接纽带。它不是单一的协议，也不是单一的技巧。它是一种围绕发现、测试、维持和回退构建的实用通信策略。
对于语音、视频、浏览器协作、点对点应用程序和远程边缘系统，该策略通常决定了服务是仅在理论上连接，还是在现实世界中可靠工作。最好的NAT穿透设计是用户几乎注意不到的设计，因为当他们需要时，呼叫、会议和数据路径就会保持畅通。
常见问题
NAT穿透和STUN是一回事吗？
不是。STUN是NAT穿透中使用的一个工具。它帮助端点了解其面向公众的地址并保持连通性，但完整的NAT穿透通常还使用ICE和TURN。
既然STUN已经存在，为什么还需要TURN？
STUN有助于发现和一些直接连接的场景，但不能保证在限制性网络上的成功。当无法可靠建立直接对等通信时，TURN提供了一条中继路径。
NAT穿透只用于WebRTC吗？
不是。WebRTC是一个主要用例，但NAT穿透对于SIP语音、视频会议、游戏、点对点软件、远程访问工具以及一些物联网或边缘通信系统也很重要。
NAT穿透会降低安全性吗？
本身不会。安全性结果取决于系统的设计方式。NAT穿透可以通过身份验证、受控中继、策略执行以及安全的信令和媒体处理来安全地实现。
NAT穿透能保证直接的点对点连接吗？
不能。通常更倾向于直接路径，但有些网络不允许这样做。好的NAT穿透设计接受这一现实，并在必要时使用中继，而不是让会话完全失败。
